Cyberhot mot Sverige — en sammanfattning för ledare och beslutsfattare 2022

Forskningsinstitutet Research Institutes of Sweden AB (RISE) och dess Centrum för cybersäkerhet har i sin rapport Cyberhot mot Sverige 2022, sammanfattat detta för ledare och beslutsfattare.

Motiven, liksom modus, varierar. Det vanligaste motivet är pengar och cyberangrepp som utförs med ekonomiska motiv sker inte sällan genom ransomware. Betalning av en lösensumma innebär dock inga garantier att data återfås och kan förvärra situationen för den som utsätts då det åskådliggjort villighet att betala för att återfå data.

Samtidigt som angrepp från cyberkriminella har blivit vanligare bedöms de allvarligaste cyberhoten mot Sverige nu komma från andra stater. Stater kan således använda cyberangrepp dels för att gagna sina ekonomiska intressen, dels för att orsaka allvarliga samhällsstörninga

Försvarets radioanstalt (FRA) anger att den snabba digitala utvecklingen generellt varit gynnsam för Sverige men att den även öppnat nya sårbarheter. Argumentet lyder något förenklat: ju högre nivå av digitalisering desto fler angreppsytor, som behöver skyddas.

Tillvägagångssätt

Distributed-denial-of-service (DDos)

DDoS-angrepp tillskrivs ibland inte särskilt stor betydelse, främst på grund av att de tenderar att inte vara tekniskt avancerade. Däremot kan de orsaka stora störningar om de riktas mot kritisk infrastruktur som energi-, kommunikation-, transport- eller banksektorn för att nämna några exempel.

Utöver den faktiska skada som DDoS-angrepp kan tillfoga system bör även de kognitiva effekter de kan ha hos en målgrupp som haft tilltro till system/organisationer beaktas.

Även om angreppet inte fått särskilt allvarliga långsiktiga effekter på systemet — perceptionen av hotet och dess verkan hos en befolkning, inte bara den reella effekten, är en viktig dimension av cyberangrepp.

Ett sådant standardmässigt DDoS-angrepp inträffade under hösten 2017, mot Trafikverkets internetleverantörer TDC och DGS. Detta påverkade tågtrafiken runtom i Sverige och orsakade förseningar. De reservsystem som skulle träda in när det ordinarie inte fungerade gjorde det. Tänkbara motiv med angreppet kommunicerades inte offentligt men går inte att utesluta att det kan ha utgjort ett slags trycktest för att observera dels hur väl reservsystemen och återställningen fungerade, dels för att observera allmänhetens reaktioner på störningarna och tiden det tog för att återställa systemen.

Ransomwareangrepp Ransomewareangrepp har ökat mycket under senare år och en viktig anledning är att de tenderar att vara lönsamma samt är förenade med relativt låg risk för de som utför dem. De riktas mot aktörer i det offentliga såväl som i näringslivet och har ofta ekonomiska motiv, men kan utöver det även utgöra en metod för att trycktesta ett samhälles resiliens och robusthet när det utsätts för störningar.

Kalix kommun utsattes för ett ransomwareangrepp i december 2021. Till följd av angreppet slogs IT-system ut, vilket påverkade hela verksamheten. Det tog över en månad innan alla system åter var i drift och de sammanlagda kostnaderna för kommunen uppgick till cirka 2,5 miljoner kronor

Under sommaren 2021 utsattes en amerikansk mjukvaruleverantör, Kaseya, för ett ransomwareangrepp. Angreppet drabbade bland annat flera svenska företags kassasystem, däribland Coops, genom att låsa dem och omöjliggöra transaktioner.

Viktigt i sammanhangen var att incidenterna blottlade Kalix kommuns och Kaseyas bristfälliga cybersäkerhetslösningar — omfattningen av angreppen skulle kunna antyda att angriparna tagit sig in i systemen långt tidigare och väntat på rätt förutsättningar för att verkställa dem, och att det inte upptäckts.

Dataintrång och doxing

Läs tal av rapporten i sin helhet på Research Institutes of Sweden AB (RISE)

Dataintrång kan innebära att mer eller mindre känslig data förstörs, eller stjäls, ibland för att publiceras eller säljas.

Säkerhetspolisen skriver exempelvis i sin årsbok 2021 att Riksidrottsförbundet mellan december 2017 och maj 2018 utsattes för upprepade dataintrång, som de tillskrev den ryska militära underrättelsetjänsten GRU. Motivet misstänktes vara hämnd till följd av att ryska idrottare stängts av från deltagande i idrottstävlingar på grund av anklagelser om doping. Skadan av intrånget innefattande bland annat att sekretessbelagd medicinsk information rörande svenska idrottare publicerades på internet.

Doxing är ytterligare en form av cyberangrepp som uppmärksammats under senare år. Det innebär att söka, inhämta och publicera information av en privat karaktär på internet utan tillstånd, och kan användas för att misskreditera en samhällsaktör eller flytta fokus från en fråga till en annan i en inhemsk debatt.

Den angripande staten även tillskansa sig affärshemligheter och information om exempelvis spetsforskning för att gagna sina egna intressen, konkurrenskraft och ekonomiska utveckling.

Den ryska hackergruppen APT 28, även benämnd Fancy Bear, med kopplingar till ryska militära underrättelsetjänsten GRU använde sig av denna metod både inför det amerikanska valet 2016 och franska valet 2017 . Man fick då genom spear-phishingangrepp tillgång till privat data från, i första fallet Hillary Clintons kampanjansvarige John Podesta och i det andra fallet Emmanuel Macrons kampanjstab. Datan spreds sedan på olika sociala medieplattformar och forum på nätet i ett försök att smutskasta presidentkandidaterna vid kritiska tidpunkter under valkampanjerna.

Att kostnaderna för att genomföra cyberangrepp är relativt låga jämfört med konventionell krigföring gör även att mindre stater med rätt kompetens har möjlighet att åstadkomma stor skada

Säkerhetsåtgärder

Även om ansvaret för samhällskritiska funktionerna såsom försörjning av energi, vatten och livsmedel, liksom hälso- och sjukvården och system för IT och kommunikation, inte huvudsakligen åligger aktörer i näringslivet, kan de utgöra en viktig del av leveranskedjan genom tillhandahållande av varor och tjänster som är nödvändiga för att dessa verksamheter ska fungera.

Det är således viktigt på många plan för aktörer i näringslivet att skydda sin verksamhet, dels på företagsnivån — att företaget ska utvecklas och vara konkurrenskraftigt — dels på samhällsnivå, då man har en del i ansvaret för att det ska fungera. Detta belyser också vikten av samverkan mellan näringslivet och det offentliga.

Vikten av kontinuerlig genomlysning av verksamheten

När de samhällskritiska funktionerna blir alltmer digitaliserade utgör cyberdomänen en allt större potentiell angreppsyta. Verksamheter inom bland annat telekom, energiförsörjning, livsmedelsförsörjning, transport, rättsväsende samt bank och finans har skyldighet att utreda om de bedriver säkerhetskänslig verksamhet eller hanterar säkerhetsskyddsklassificerade uppgifter och därmed behöver skydda sin verksamhet mot antagonistiska hot enligt säkerhetsskyddslagen.

Säkerhetsskyddsanalysen, som ska ge svar på vad som ska skyddas, mot vad det ska skyddas och hur det ska skyddas utgör ett bra verktyg för att inventera skyddet av sin verksamhet.

När de samhällskritiska funktionerna blir alltmer digitaliserade utgör cyberdomänen en allt större potentiell angreppsyta.

Cybersäkerhetsarbetet inom en organisation behöver utvecklas och anpassas kontinuerligt. Dessutom behöver detta ta hänsyn till både tekniska och mänskliga aspekter eftersom försök till manipulation av ackrediterade användare, så kallad social engineering, är en vanlig metod vid genomförande av cyberangrepp. Notera att ifall säkerhetsrelaterade processer upplevs som komplexa, onödiga eller ologiska leder det inte till förståelse och efterlevnad, och kan ge en falsk bild från ledningsperspektiv av organisationens egentliga säkerhetsnivå.

En responsiv incidentrapportering förutsätter att medarbetarna inte känner att detta förknippas med ett stigma vilket kan minska viljan att rapportera när det behövs som mest, i ett så tidigt stadium som möjligt. Ett verktyg som kan agera temperaturmätare är till exempel penetrationstester som utifrån försöker hitta vilka tekniker organisationen är sårbar för och hur olika motåtgärder kan prioriteras.

Vaksamhet vid outsourcing

Outsourcing innebär en del risker och ökad sårbarhet, även rörande risken för cyberangrepp. Detta är främst till följd av minskad kontroll i leveranskedjor, gällande såväl kompetens som rutiner för informationssäkerhet.

Ett exempel från närtid rör Transportstyrelsen, vars IT-upphandling blev uppmärksammad under 2017. I korthet ska svensk sekretesskyddad information från Transportstyrelen ha gjorts tillgänglig för icke-säkerhetsprövad personal i utlandet genom att Transportstyrelsen outsourcat IT-drift till ett företag som i sin tur använde underleverantörer

Underleverantörers data kan även routas genom andra länder, vars säkerhets- och underrättelsetjänster i sin tur kan kräva tillgång till den.

Vikten av kommunikation

Långsiktig och responsiv kommunikation är idag särskilt viktigt. Det bidrar till att öka medvetenhet kring cyberhot, att äga narrativet och dämpa risken för spridning av felaktig information och i värsta fall våldsamma missnöjesyttringar. Osäkerhet och ett intryck av kontrollförlust kan utnyttjas av aktörer som har som målsättning att skapa oro och instabilitet i samhället, genom att det kan skapa mer gynnsamma förutsättningar för påverkansoperationer.

Att Kalix kommun exempelvis valde att fortlöpande uttala sig i media om vad som hänt bidrog förmodligen till att skydda och möjligen stärka kommunens trovärdighet gentemot kommunmedborgarna.

Samma kan nämnas om Coop, som den svenska medierapporteringen till stor del fokuserade på i fallet rörande Kaseya. Att man var transparent kan ha bidragit till att dämpa eventuella missnöjesyttringar mot stängda livsmedelsaffärer.

Vikten av samverkan och kompetensutveckling

En annan viktig säkerhetsåtgärd inom kommunikationsområdet är säkra och insynsskyddade forum och nätverk där medlemmar kan dela information och erfarenheter. Där kan aktuella cyberangrepp diskuteras och medlemmarna kan utröna om det handla om ett isolerat cyberangrepp eller ifall det går att observera mönster eller indikationer på att angreppet är samordnat, om andra medlemmar utsatts osv.

Kunskapen om cybersäkerhet behöver förbättras i alla delar av samhället, både genom ökad medvetenhet bland allmänheten, men också genom att höja den specialiserade kompetensen

Om det finns en viss nivå av kundskap och motståndskraft hos befolkningen behöver inte försenade tåg, stängda livsmedelsbutiker eller driftstörningar i bankväsendet uppfattas som samhällets undergång

Kunskapen om cybersäkerhet hos ledningsgrupper och styrelser behöver höjas genom målgruppsanpassade utbildningar med stöd i den senaste forskningen och tekniken.

Behovet av kompetens inom cybersäkerhet är stort och en säkerhetsåtgärd som behöver prioriteras är att öka antalet cybersäkerhetsexperter. Enligt vissa uppskattningar saknas närmare 200 000 cybersäkerhetsexperter i Europa för att kunna bemöta cyberangrepp och hitta lösningar.

Ett initiativ för att möta detta behov är Cybercampus, som är ett samarbete mellan Kungliga tekniska högskolan, forskningsinstitutet RISE, Försvarsmakten och MSB för att stärka och samla utbildning.

Ytterligare ett initiativ är nyinrättade Nationellt cybersäkerhetscenter. Syftet med cybersäkerhetscentret är att stärka Sveriges samlade förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot som utgör en av källorna till de IT-incidenter som drabbar Sverige.